Контакты
Подписка
МЕНЮ
Контакты
Подписка

Аттестация объектов информатизации - Форум по вопросам информационной безопасности

Аттестация объектов информатизации - Форум по вопросам информационной безопасности

К списку тем | Добавить сообщение


Автор: Андрей, Информационная безопасность | 8641 27.01.2009 08:58
Подскажите пожалуйста! Какие необходимы лицензии для выполнения работ по аттестации объектов информатизации? и для выполнения работ по специсследованиям технических средств и автоматизированных систем? если можно напишите раздельно какие лицензии для этих видов работ нужны!!!
Прошло несколько лет

Автор: 777Jonson777 | 109202 23.04.2021 22:34
Допустим, организация аттестована по требованиям безопасности АС класса 1Г.
В АСЗИ есть аттестованная подсеть 172.16.хх.хх, без прямого доступа в интернет, только локальная сеть. И есть подсеть 192.168.хх.хх для разработчиков с прямым доступом в интернет. В аттестованной подсети развернута виртуализация (VDI), и все бы ничего, если бы не одно но...
У разработчиков есть права администратора, и они установив ПО Horizon и прописав сервер виртуализации проваливаются в свой виртуальный профиль в АСЗИ.
Вопрос в том, чем регламентирован запрет на доступ в АСЗИ из вне?

Автор: nekto | 109211 27.04.2021 17:01
>"Допустим, организация аттестована по требованиям безопасности АС класса 1Г."
по требованиям безопасности аттестуются автоматизированные системы, а не организация.... (см. определение - автоматизированная система)

>"В АСЗИ есть аттестованная подсеть 172.16.хх.хх, без прямого доступа в интернет, только локальная сеть. И есть подсеть 192.168.хх.хх для разработчиков с прямым доступом в интернет..."
Аттестованная сеть должна быть ограничена межсетевым экраном...

>"В аттестованной подсети развернута виртуализация (VDI), и все бы ничего, если бы не одно но...
У разработчиков есть права администратора, и они установив ПО Horizon и прописав сервер виртуализации проваливаются в свой виртуальный профиль в АСЗИ."

На межсетевом экране должны быть определены правила разграничения доступа...

Автор: oko | 109214 27.04.2021 18:28
to nekto
Про обязательность МЭ для аттестованной сети можно поспорить. Но, разумеется, применительно к конкретике, а не к коню в вакууме. Так что не буду :)

to 777Jonson777
В защите чистой КОНФИ (а по-другому быть не может, раз АС и 1Г) все всегда решается владельцем КОНФИ. На основании Модели угроз или иного явно учтенного решения/вывода. А это означает, что весь вопрос упирается в здравый смысл и какую-никакую оценку рисков...
Так-то прямой ответ прост: запрет может быть определен явно в положениях выданного Аттестата соответствия (Предписания на эксплуатацию). Еще неплохо было бы связаться с лицензиатом, проводившем АИ, и уточнить у него. Особенно, если такой канал не рассматривался при аттестации в принципе (по глупости ли, из корысти ли)...

Автор: nekto | 109220 28.04.2021 11:07
to oko

"...Про обязательность МЭ для аттестованной сети можно поспорить...."
Так по условию написано, что есть аттестованная подсеть и еще какая-то.... Они должны быть разделены МЭ или аттестовываться должна вся сеть....

У вопрошающего проблема, есть субъект создавший подключение снаружи в защищаемую сеть...
Так вот, это может нарушать систему разграничения доступа, если подобный доступ должен быть запрещен...
Или могут нарушаться требования к среде функционирования, поскольку задействованы непредусмотренные технические средства и ПО...

Автор: Alex_kl | 109221 28.04.2021 12:09
Или это очередной сферический конь, появившийся в теме ДЗ/курсовой/диплома. Слишком абстрактно

Просмотров темы: 4978

К списку тем | Добавить сообщение



Добавить сообщение

Автор*
Компания
E-mail
Присылать уведомления да
нет
Текст сообщения*
Введите код*